Gavote VDAI raštą ar paklausimą: ką jis reiškia ir ką daryti

Valstybinės duomenų apsaugos inspekcijos (VDAI) raštas gali būti paklausimas, priminimas, pranešimas apie tyrimą arba sprendimas. Paklausimas nėra sprendimas, kad padarėte pažeidimą. Tačiau jeigu rašte prašoma informacijos ar dokumentų, atsakyti privaloma: asmenys privalo vykdyti priežiūros institucijos reikalavimus ir nedelsdami pateikti informaciją, paaiškinimus ir dokumentų kopijas (ADTAĮ 14 str.). Duomenų valdytojams ir tvarkytojams pareigą gavus prašymą bendradarbiauti su priežiūros institucija nustato ir reglamentas (BDAR 31 str.).

Kaip žingsnis po žingsnio parengti patį atsakymą, aprašėme Privacio. Čia – kitas klausimas: ką inspekcija gali pagal įstatymą, kaip atskirti paklausimą nuo sprendimo ir kas nutinka, kai atsakymas parengiamas blogai arba jo nėra.

Ką VDAI gali pagal įstatymą

VDAI atlieka reglamente nustatytas priežiūros institucijos užduotis (ADTAĮ 11 str. 1 d.). Be to, ji konsultuoja duomenų valdytojus ir rengia metodines rekomendacijas (ADTAĮ 11 str. 2 d. 1 p.). Todėl dalis raštų yra informacinio pobūdžio: jie primena pareigas ar klausia, kaip jas vykdote.

Inspekcija turi reglamente nustatytus priežiūros institucijos įgaliojimus (ADTAĮ 12 str. 1 d.). Svarbiausi, kuriuos verta žinoti gavus raštą:

• nurodyti duomenų valdytojui pateikti visą jos užduotims atlikti reikalingą informaciją (BDAR 58 str. 1 d. a p.);
• pranešti apie įtariamą reglamento pažeidimą (BDAR 58 str. 1 d. d p.);
• gauti visą reikalingą informaciją, dokumentų ir duomenų kopijas, susipažinti su visais duomenimis ir dokumentais (ADTAĮ 12 str. 2 d. 1 p.);
• pažeidimų nagrinėjimo metu be išankstinio įspėjimo įeiti į patalpas, juridinio asmens atveju – jo darbo laiku (ADTAĮ 12 str. 2 d. 2 p.);
• gauti žodinius ir rašytinius paaiškinimus ir reikalauti atvykti į inspekcijos patalpas (ADTAĮ 12 str. 2 d. 9 p.);
• teikti rekomendacijas ir nurodymus dėl duomenų tvarkymo (ADTAĮ 12 str. 2 d. 5 p.).

Vadinasi, atsakymas į paklausimą nėra formalumas. Inspekcija turi teisę naudoti informaciją, gautą pažeidimų nagrinėjimo metu ar atliekant kitas funkcijas (ADTAĮ 12 str. 2 d. 10 p.). Todėl tai, ką parašote, gali būti panaudota vėliau.

Paklausimas, priminimas ar sprendimas: kaip atskirti

Perskaitykite raštą ir atsakykite sau į tris klausimus: ar jame užduoti konkretūs klausimai, ar nurodytas terminas, ar minimas skundas arba tyrimas.

Priminimas ar informacinis raštas. Jame primenamos pareigos, bet nereikalaujama konkrečios informacijos. Jeigu rašte prašoma patvirtinti, kad su juo susipažinote, patvirtinkite. Tai taip pat ženklas patikrinti, ar minimos pareigos Jūsų organizacijoje iš tikrųjų vykdomos.

Paklausimas tyrimo ar skundo metu. Jame prašoma paaiškinimų ar dokumentų. Tai reikalavimas, kurį privalu įvykdyti (ADTAĮ 14 str.). Šiuo atveju Jūs esate tikrinamas arba skundžiamas asmuo ir turite teisių. Galite gauti paaiškinimus apie tyrimo ar skundo nagrinėjimo dalyką ir pagrindą (ADTAĮ 17 str. 2 d. 1 p.). Galite savo iniciatyva pateikti papildomus paaiškinimus (ADTAĮ 17 str. 2 d. 2 p.).

Sprendimas. Baigusi tyrimą savo iniciatyva, inspekcija motyvuotai nusprendžia konstatuoti, kad pažeidimų nenustatyta, arba teikti nurodymus, rekomendacijas ar taikyti kitas priemones, arba surašyti administracinio nusižengimo protokolą (ADTAĮ 22 str. 1 d.). Apie tokį sprendimą tikrinamam asmeniui raštu pranešama ne vėliau kaip per 3 darbo dienas, išskyrus atvejus, kai ketinama skirti administracinę baudą (ADTAĮ 22 str. 2 d.). Išnagrinėjusi skundą, inspekcija pripažįsta jį pagrįstu arba atmeta (ADTAĮ 31 str. 1 d.). Pripažinusi skundą pagrįstu, ji gali teikti nurodymus, rekomendacijas ar taikyti kitas priemones (ADTAĮ 31 str. 2 d.). Abiem atvejais sprendimą galima skųsti teismui (ADTAĮ 22 str. 3 d.; ADTAĮ 31 str. 5 d.).

Siūlymas skirti baudą. Tai atskiras dokumentas, ir jį reikia atpažinti iš karto. Jame inspekcija nustato terminą, ne trumpesnį negu 10 darbo dienų nuo dokumento gavimo, raštu pateikti savo paaiškinimus (ADTAĮ 34 str. 1 d.). Paaiškinimų nepateikimas netrukdo spręsti dėl baudos. Jeigu paaiškinimai jau buvo gauti tyrimo metu, jų šiame etape gali būti nebeprašoma. Tai dar viena priežastis atsakymą į pirmąjį paklausimą rašyti taip, lyg jis būtų Jūsų paaiškinimas byloje.

Terminai: kurie iš tiesų galioja

ADTAĮ 14 str. nenustato dienų skaičiaus atsakymui į paklausimą. Jis sako „nedelsdami” (ADTAĮ 14 str.). Todėl praktikoje galioja terminas, kurį nurodo pats raštas. Jeigu jo nespėjate, rašykite inspekcijai prieš terminui pasibaigiant, paaiškinkite priežastį ir pasiūlykite datą.

Svarbu, nuo kada terminas skaičiuojamas. Dokumentai laikomi įteiktais net tada, kai jų dar niekas neperskaitė. Siunčiant per E. pristatymo sistemą ar elektroninių ryšių priemonėmis, įteikimo diena yra kita darbo diena po išsiuntimo (ADTAĮ 17 str. 5 d.). Atsisakymas priimti registruotą siuntą prilygsta jos įteikimui. Raštas, gulintis neperžiūrimoje bendroje dėžutėje, jau skaičiuoja laiką.

Pats inspekcijos iniciatyva atliekamas tyrimas trunka ne ilgiau kaip 4 mėnesius nuo sprendimo jį atlikti (ADTAĮ 21 str. 1 d.). Terminas gali būti pratęstas, bet bendras terminas negali viršyti 6 mėnesių (ADTAĮ 21 str. 2 d.). Terminų skaičiavimas sustabdomas, kai inspekcija dėl savo nurodymų nevykdymo pradeda baudos skyrimo procedūrą arba laukia ekspertų ar kitos priežiūros institucijos išvados (ADTAĮ 19² str.). Viena iš įstatyme nurodytų pratęsimo priežasčių yra tikrinamo asmens vengimas vykdyti inspekcijos reikalavimus.

Kas gali nepavykti ir kokios gali būti pasekmės

Raštas ignoruojamas. Tai didžiausia klaida. Reglamentas numato administracines baudas už duomenų valdytojo prievolių pagal 25–39 straipsnius pažeidimą, įskaitant pareigą bendradarbiauti, iki 10 milijonų eurų arba, įmonės atveju, iki 2 % ankstesnių finansinių metų bendros metinės pasaulinės apyvartos, taikoma didesnė suma (BDAR 83 str. 4 d. a p.). Už prieigos nesuteikimą pažeidžiant 58 straipsnio 1 dalį – iki 20 milijonų eurų arba iki 4 % apyvartos, taikoma didesnė suma (BDAR 83 str. 5 d. e p.). Valdžios institucijoms ir įstaigoms ADTAĮ nustato mažesnes ribas (ADTAĮ 33 str. 1 d. ir 2 d.), nebent jos vykdo ūkinę komercinę veiklą (ADTAĮ 33 str. 3 d.). Be to, sprendžiant, ar skirti baudą ir kokio dydžio, atsižvelgiama į tai, kiek bendradarbiauta su priežiūros institucija siekiant atitaisyti pažeidimą ir sumažinti jo neigiamą poveikį (BDAR 83 str. 2 d. f p.). Tylintis valdytojas šio veiksnio savo naudai panaudoti negali.

Atsakoma nepatikrinus faktų. Rizika kyla, kai atsakymą rašo žmogus, kuris žino, kaip turėtų būti, o ne kaip yra. Valdytojas turi sugebėti įrodyti, kad laikosi principų (BDAR 5 str. 2 d.). Pavyzdžiui, jeigu atsakyme parašyta, kad įrašai trinami po 30 parų, o patikrinimas randa metų senumo įrašus, problema tampa dviguba: pažeidimas ir netikslus paaiškinimas institucijai.

Prisipažįstama tai, ko neklausė. Atsakymas į paklausimą nėra vieta savianalizei apie visą organizaciją. Atsakykite į užduotus klausimus. Jeigu ruošdamiesi randate tikrą problemą, pavyzdžiui, neužregistruotą saugumo pažeidimą, tai atskiras klausimas su savo terminais (BDAR 33 str. 1 d.). Spręskite jį sąmoningai, o ne vienu sakiniu atsakyme. Kada apie pažeidimą pranešti, aprašėme straipsnyje duomenų saugumo pažeidimas: kada pranešti VDAI ir žmonėms.

Siunčiama daugiau asmens duomenų, nei prašyta. Duomenų kiekio mažinimo principas galioja ir siunčiant duomenis inspekcijai: duomenys turi būti tik tokie, kurių reikia tikslui (BDAR 5 str. 1 d. c p.). Jeigu prašoma pavyzdžio ar aprašo, nesiųskite visos klientų duomenų bazės. Jeigu prašoma konkretaus asmens duomenų, siųskite tik jo.

Kada kreiptis į teisininką

Paprastą priminimą organizacija gali tvarkyti pati. Teisininką verta įtraukti, kai:

• rašte minimas skundas, tyrimas ar įtariamas pažeidimas (BDAR 58 str. 1 d. d p.);
• esate kviečiami duoti paaiškinimų žodžiu ar inspekcija ketina atvykti;
• gavote siūlymą skirti administracinę baudą (ADTAĮ 34 str. 1 d.);
• ruošiant atsakymą paaiškėja, kad kai kurių pareigų nevykdote;
• klausimai susiję su sveikatos ar kitais specialių kategorijų duomenimis, vaizdo stebėjimu ar darbuotojų stebėsena;
• gavote sprendimą ir svarstote jį skųsti teismui (ADTAĮ 22 str. 3 d.; ADTAĮ 31 str. 5 d.).

Jeigu organizacija turi duomenų apsaugos pareigūną, bendradarbiavimas su priežiūros institucija yra viena iš jo užduočių (BDAR 39 str. 1 d. d p.). Jis taip pat atlieka kontaktinio asmens funkcijas, kai institucija kreipiasi dėl duomenų tvarkymo (BDAR 39 str. 1 d. e p.). Todėl raštas turi pasiekti jį pirmą dieną, o ne paskutinę.

Jeigu esate ne organizacija, o skundą pateikęs žmogus, žr. straipsnį skundas VDAI: kiek trunka ir kas būna toliau.